微信公眾號、小程序的普及，為我們的日常生活提供了很多便利，看病掛號、開卡繳費、在線辦理業務......，越來越多人習慣在微信公眾號和小程序上處理事務。作為新型資產的一種，社交媒體很容易成為忽視的項目。

今年我們在參與企業攻防演習中，碰到了企業對于互聯網資產梳理的需求，其實在以往與客戶的交流中，我們就發現很多企業忽略了社交媒體的重要性，容易給企業網絡安全留下了隱患，也容易給攻防演練行動留下缺口。以往年攻防演練行動攻擊為案例，攻擊者可通過收集到微信公眾號AppID，將AppID錄入數據泄露監控模塊中，發現github有配置信息泄露，包含內網信息，最終達到突破攻擊的效果。

公眾號，小程序容易忽視的安全點：

數據代碼泄露

現階段公眾號，小程序一般都由第三方外包商承擔。一些廠商由于安全意識不足，為方便修改、部署，會將代碼上傳到開源社區統一處理。在運營服務中，會發現大多數企業都出現類似問題，企業無法得知開發代碼是否被上傳到開源社區。其AppID,secret泄露會導致攻擊者控制此公眾號、小程序，可篡改信息，并獲取數據庫信息。甚至作為跳板，突破攻擊到達企業內網。

數據無法統一管控

中大型企業會存在海量營業網點、分公司。每個區域會有對應的公眾號、小程序。作為總部安全負責人，無法細致了解到每個網點的情況信息。網絡安全屬于短板效應，如果有一處入口沒有管控起來，危險可知。

釣魚仿冒

越來越多人習慣在公眾號、小程序處理事務，了解公司動態資訊。眾多服務功能給手機用戶提供了很大的方便，但是此處已被灰黑產盯上，收購一些符合要求的服務號，高仿其他業務名字進行”釣魚”。這就需要企業定期梳理是否存在釣魚仿冒公眾號、小程序資產。

針對公眾號、小程序的資產泄露問題，聯軟的互聯網安全資產監控平臺支持全面平臺自動化梳理企業公眾號，小程序資產。監控其AppID，變更情況，后臺接口等信息。并與威脅情報聯動，將持續監控是否需有代碼泄露，AppID密碼泄露等情況

在攻防演習中，互聯網資產梳理、暴露面收斂、風險檢測與持續監測等是參加演習的單位在前期必須做且要做好的工作。聯軟會全面助力企業網絡安全防護，幫助企業構建和完善資產安全運營，做好每一次網絡防護。